Der EU AI Act ist nicht an einem Stichtag in Kraft getreten, sondern greift in Stufen bis 2027. Das erklärt, warum das Thema immer wieder neu aufkommt — und warum viele Unternehmen den Überblick verloren haben.
Warum die Staffelung überhaupt existiert
Die Verordnung trat im August 2024 in Kraft, ihre Pflichten werden aber über drei Jahre hinweg nach und nach anwendbar. Das ist Absicht.
Die Logik hinter den Stufen
Der Gesetzgeber hat die gefährlichsten Praktiken früh verboten und den aufwendigen Pflichten für Hochrisiko-Systeme längere Übergangsfristen gegeben. So bleibt Zeit, Prozesse aufzubauen, ohne dass die klaren Verbote warten müssen.
Anbieter oder Betreiber — die Rollenfrage
Der Act unterscheidet Anbieter (wer ein KI-System entwickelt oder in Verkehr bringt) und Betreiber (wer es einsetzt). Der Mittelstand ist fast immer Betreiber. Diese Einordnung entscheidet, welche Zeilen der Fristentabelle überhaupt für Sie gelten — eine ausführliche Einordnung steht im Überblick zum EU AI Act.
Die Fristen im Überblick
| Datum | Was gilt | Betrifft Betreiber? |
|---|---|---|
| 01.08.2024 | Verordnung in Kraft | mittelbar |
| 02.02.2025 | Verbotene Praktiken, KI-Kompetenz (Art. 4) | ja |
| 02.08.2025 | GPAI-Pflichten, Governance, Sanktionen | überwiegend Anbieter |
| 02.08.2026 | Hochrisiko (Anhang III), Transparenz (Art. 50) | ja |
| 02.08.2027 | Hochrisiko als Sicherheitskomponente (Anhang I) | nur betroffene Branchen |
Die zwei Zeilen, die für Sie zählen
Für ein Unternehmen, das KI nur einsetzt, sind zwei Zeilen relevant: der 2. Februar 2025 und der 2. August 2026. Alles dazwischen und danach betrifft überwiegend die Hersteller der Systeme.
Was hinter den Datumsangaben steckt
Am 2. August 2025 kamen die Pflichten für allgemein einsetzbare KI-Modelle (GPAI), das Sanktionsregime und die Benennung nationaler Behörden hinzu. Am 2. August 2027 folgt Hochrisiko-KI, die als Sicherheitskomponente in bereits regulierte Produkte eingebaut ist — etwa in Maschinen oder Medizingeräte.
Was seit Februar 2025 bereits gilt
Dieser Teil wird in Fristentabellen oft übersehen, obwohl er schon scharf ist.
Die KI-Kompetenzpflicht
Seit dem 2. Februar 2025 verlangt Artikel 4, dass Betreiber für ein ausreichendes KI-Kompetenzniveau ihrer Mitarbeiter sorgen. Wer bislang nichts unternommen hat, ist im Rückstand — was sich mit überschaubarem Aufwand über eine EU-AI-Act-Schulung beheben lässt. Was das konkret bedeutet, steht unter KI-Schulungspflicht.
Die verbotenen Praktiken
Ebenfalls seit Februar 2025 in Kraft: die verbotenen Praktiken nach Artikel 5. Dazu gehört die Emotionserkennung am Arbeitsplatz — relevant für Unternehmen, die über Stimmungsanalyse in Kundengesprächen oder Bewerbungsinterviews nachdenken. Das ist nicht mehr zulässig.
Der Einschnitt im August 2026
Der 2. August 2026 ist für Betreiber das nächste große Datum.
Transparenzpflichten nach Artikel 50
Ab dann müssen KI-Chatbots als solche erkennbar sein, und synthetische Medien — also KI-erzeugte Bilder, Tonaufnahmen und Videos, insbesondere Deepfakes — gekennzeichnet werden. Wer KI im Kundenkontakt oder im Marketing einsetzt, ist unmittelbar betroffen.
Hochrisiko nach Anhang III
Gleichzeitig greifen die Hochrisiko-Regeln für Anwendungen aus Anhang III. Im Mittelstand ist davon vor allem der Personalbereich betroffen: KI im Bewerbungsverfahren oder bei der Personalauswahl gilt als Hochrisiko und zieht umfangreiche Pflichten nach sich.
Die Bußgeldstaffel
Die Sanktionen sind gestaffelt nach Schwere des Verstoßes:
| Verstoß | Bußgeld bis zu |
|---|---|
| Verbotene Praktiken | 35 Mio € / 7 % Umsatz |
| Sonstige Pflichtverstöße | 15 Mio € / 3 % Umsatz |
| Falsche Angaben an Behörden | 7,5 Mio € / 1 % Umsatz |
Maßgeblich ist jeweils der höhere der beiden Werte.
Was das für Ihre Planung heißt
Aus den Fristen ergibt sich eine klare Reihenfolge.
Die Prioritätenliste
- Sofort: KI-Kompetenz herstellen und offensichtlich verbotene Praktiken abstellen — beides gilt bereits.
- Bis August 2026: Kennzeichnung von Chatbots und KI-Medien einführen, HR-Anwendungen auf Hochrisiko prüfen.
- Laufend: ein Verzeichnis der eingesetzten KI-Systeme führen, damit neue Pflichten zugeordnet werden können.
Der Sonderfall Deutschland
Eine EU-Verordnung gilt unmittelbar. Was nationales Recht regeln muss, sind Zuständigkeiten, Marktüberwachung und Sanktionsverfahren — dieses Durchführungsgesetz hat sich verzögert. Für Ihre eigenen Pflichten ändert das nichts; sie gelten unabhängig davon. Unklar bleibt vorerst nur, welche Behörde im Einzelfall zuständig ist.
Ob Ihre konkreten Anwendungen betroffen sind und welche Rolle Sie einnehmen, klären wir im Erstgespräch.
Quellen: Verordnung (EU) 2024/1689 (EUR-Lex) · EU-Kommission: Rechtsrahmen für KI